Objetivo

Para este artigo iremos estudar o conjunto de processos apresentados pela SMF Security Management do MOF visando planejar e gerenciar a segurança em nossa organização, considerando uma abordagem generalizada. Boa leitura para todos.

 

Introdução

 

Obs.: Achei melhor deixar alguns termos em inglês mesmo porque na maioria das vezes iremos trabalhar com eles desta forma no mercado.

 

A SMF Security Management - Gerenciamento de Segurança, não é um plano de segurança ou um esboço desta tarefa, ela é um conjunto de processos para planejar e gerenciar a segurança em uma organização. A meta desta SMF é descrever O que deve ser feito e não Como deve ser feito ao se planejar a segurança do ambiente, estes processos afetam o gerenciamento da segurança com relação à confiança, integridade e disponibilidade de todos os sistemas de TI e os dados armazenados por eles incluindo também as práticas da Disciplina de Gerenciamento de Riscos.

 

Temos nestas recomendações um documento de apoio prático para desenvolver políticas de gerenciamento de segurança baseadas nas melhores práticas do mercado, abordando desde controles de segurança, processos para desenvolver um plano de segurança, indicadores de desempenho até o desenvolvimento de um programa de gerenciamento de segurança (com regras, avaliação de riscos, auditorias entre outros). Considerando que segurança é um assunto muito complexo este guia não cobrirá todos os tópicos abordados pela Segurança da Informação, como já foi dito teremos aqui apenas algumas citações generalizadas.

 

Definições Importantes

 

Para entendermos melhor este artigo e a documentação oficial para esta SMF vamos conhecer algumas definições importantes que também são recomendadas pela Microsoft na própria documentação do MOF, lembrando também que mesmo algumas definições sendo as mesmas encontradas no mercado muitas delas são feitas com base nesta SMF.

 

Secutiry Polices and Guidelines: São políticas e guias de seguranças estabelecidas que devam ser de atenção de todos quanto a sua utilização e cumprimento.

 

Information Security Measures: As políticas e guias de segurança devem ser aplicadas sob medida para todos os níveis de gerenciamento.

 

Monitoring Performance: Monitoramento da aplicação das medidas de segurança, que devem ser reportadas para constante gerenciamento.

 

Atividades do Processo

 

As atividades da SMF Security Management podem ser representadas por um fluxo de processos que aborda as tarefas fundamentais necessárias para gerenciarmos a segurança do nosso ambiente com excelência, a seguir iremos conhecer as fases deste processo.

 

Establishing an Organizational Security Policy

 

Nesta primeira etapa teremos que definir uma política de segurança organizacional reforçando as metas e os objetivos de segurança desenvolvendo uma estratégia de proteção que relacione os controles, processos e mecanismos necessários. Teremos que compartilhar esta visão com toda a organização, identificar os níveis necessários de segurança, definir as funções e responsabilidades da equipe e estabelecer um sentimento de importância para com as regras estabelecidas.

 

Establishing a Security Risk Management Process

 

Nesta segunda etapa deveremos definir os processos necessários para fazer um ótimo gerenciamento de riscos em nosso ambiente, garantindo que os riscos identificados passem por um ciclo de processos com o intuito de controlá-los e minimizá-los. Durante esta etapa desenvolveremos tarefas como identificar os níveis apropriados de segurança, determinar o método mais apropriado para minimizar os riscos levando em consideração o custo e o benefício, fazer revisões regulares dos riscos de segurança e implementar controles da forma mais efetiva possível.

 

Establishing a Security Monitoring and Security Auditing Process

 

Nesta terceira etapa lidaremos com os processos relacionados com o monitoramento e a auditoria da segurança, examinando nosso ambiente na busca de problemas em potencial. Entre outras tarefas realizadas nesta etapa nós deveremos identificar formas potenciais de ataque, identificar pró-ativamente as falhas e problemas de configuração em nossos sistemas e também desenvolver métodos precisos para informar eventuais problemas aos recursos apropriados.

 

Establishing an Incident Response Process

 

Nesta quarta etapa teremos que definir os processos necessários para respondermos aos incidentes ocorridos em nosso ambiente, tentando minimizar o impacto na segurança da organização. Para isso teremos que assegurar que toda nossa equipe entenda sua responsabilidade e saiba como proceder quando um incidente ocorrer, e por fim controlar os incidentes e suas soluções da melhor forma, logo contaremos com as equipes e processos relacionados com o Service Desk, Incident Management e Problem Management.

 

Atenção: Vale lembrar que cada uma das etapas descritas acima oferece muito mais detalhes do que os que vimos aqui, porém detalhar o processo não é o intuito agora, com este artigo nós devemos entender basicamente como funcionam estes passos, mas futuramente iremos estudar estas recomendações na prática, para isso continuem acompanhando os artigos.

 

Logo abaixo podemos ver o diagrama que representa o fluxo citado acima, os processos neste caso seguem um ciclo iterativo, veja:

 

Figura 1 – Fluxo de processos da SMF Security Management.

 

Com as novas tecnologias desenvolvidas pela Microsoft temos muito mais alternativas do que antes para nos apoiar na resolução dos passos descritos acima, um bom exemplo é o System Center, uma família de soluções de gerenciamento de TI que nos ajuda planejar, implantar, gerenciar e otimizar de forma pró-ativa nosso ambiente, temos também o SMS, MOM, ISA, Windows Server 2003 o 2008 entre outros, mas este é assunto para um próximo artigo.

 

Conclusão

 

Concluímos aqui o artigo que trata de um dos assuntos mais complexos abordados pelo MOF, as sugestões oferecidas foram bem sucintas porque não será apenas com um artigo que conseguiremos elaborar nossas políticas de segurança, a idéia aqui foi deixar claro que nossa organização precisa elaborar um plano com políticas, portanto não deixe de dar atenção em dobro para este assunto. Para o próximo artigo vamos falar um pouco de padrões comentando os processos de engenharia de infra-estrutura, até lá, muito obrigado.